|
|
|
WMIACPI.SYS / z- N" R2 R2 D$ z& K
1. WMI Concept
+ _, ?9 J" v3 |& a' G' @4 |! [' i- C) M8 \ a! n, v
WMI全称Windows Management Instrumentation是一种管理计算机系统的方式。它是微软基于WBEM的实现，WMI希望为系统管理以及分布式数据描述提供一种模型，并且允许使用基于COM的user mode API对系统部件进行访问、管理、控制。
* b+ {' S5 |& Z5 d4 |
- I3 O* W& e! W9 _6 c
7 C$ u/ b& x2 G Y2 F2. WMIACPI.SYS
5 J% J& W( J9 K$ N& ~
" G+ ?! |, u) }1 |* nWmiacpi.sys 是微软提供的一只generic mapping driver它的Plug and Play ID为 PNP0c14.，ACPI包含丰富的系统信息，OEM厂商可以利用这支mapping driver定制平台相关的功能而且允许使用WMI获取，如此便可以在单机或者在网络环境中获得平台的特定信息。关于如何在BIOS、OS中定制wmiacpi，bini已经给出了非常详细的讲解，有兴趣可以参考bini的文章。在这里我会讲解一下原理部分。ACPI-to-WMI mapping function是通过下述两只driver达成的：
2 K7 F6 @2 Y: L" s- J+ gA．Acpi.sys
* j1 E+ L2 b ~8 c" DB．Wmiacpi.sys9 O s# Y- J! X |
A).Acpi.sys的一个主要功能是解释和执行aml,而aml就是asl code的机器码，所以ACPI asl code真正的执行是由acpi.sys触发的，而不是BIOS主动执行的。它的另一个功能就是查找ACPI spec定义的device Plug and Play ID，并据此创建相应的software device后续OS会为这些device加载对应driver。如power button driver，battery driver，lid driver，fan driver等等。Device 对应的Plug and Play ID可以查阅ACPI spec获得。
2 p0 R% K9 F9 C" Q: L0 b' K# S9 AB).Wmiacpi.sys它的Plug and Play ID为PNP0c14,一旦BIOS 在asl code给出定义,acpi.sys就会创建这个pseudo device，OS就会load wmiacpi.sys作为该device的driver。当然仅仅加载这支driver还是不够的，为了能够使用WMI访问该software device包含的具体信息我们还需要一个供BIOS使用的asl文件以及与asl code对应的MOF文件而微软并没有提供Wmiacpi.sys相关的MOF文件。那么MOF文件到底有什么作用呢？要搞明白这一点我们来研究一下WMI的工作原理了，下图1展示了WMI Architecture：
9 N* z- C d, K, I) A" ^) R _: z+ S5 u0 z! i
4 Y; {$ D2 L0 d# j
# H" f; }9 D" L1 a' `当user使用API访问WMI信息时，WMI CORE会查看repository中已知的scheme定义，然后将希望获得的信息通过IRP的形式送给Providers这些Providers通常都是WMI Driver，它们处理IRP并将所需信息送给上层。那么也就是说必须要将MOF scheme加到WMI repository之中，consumer 才可能透过WMI COM API访问到。完整的过程是这样的OS在加载WMI驱动程序的时候会查看驱动程序的MOF scheme，如果驱动程序MOF scheme 部分正确无误，那么OS会将MOF scheme提取出来并自动加入到repository之中。所以OS仅仅加载wmiacpi.sys并不行，我们还需要给出与ACPI asl code对应的MOF scheme，并且通过在WMIACPI service key 下面建立一个key MofImagePath它的value指向MOF档的路径。如此在OS加载wmiacpi.sys时就会将对应的MOF scheme加入到repository之中，后续consumer访问时WMI CORE就会检索到scheme信息，然后下IRP给wmiacpi.sys。讲到这里原理应该差不多了但还要注意的是wmiacpi.sys并不会去执行asl code，最终执行动作还是会由acpi.sys发动。driver是层次结构的，acpi.sys是wmiacpi.sys的lower driver，wmiacpi.sys会将上层对asl的访问转化为low level IRP 送给acpi.sys，acpi.sys再返回具体信息然后逐级回送。, F/ D* e% ]: J3 u) p U. }
3 n* z* U( U2 ?" ^$ N9 t3. Under the hood
/ {/ k0 J i- i, I+ r4 i
2 x2 h0 i( h8 P( a- m( m前面都是原理的介绍，讲的我都快吐血了J,实践是检验理论的唯一标准。说不如做，随我揭开内幕一探究竟。WDK ver6000 src带了一个wmiacpi的samplecode，build之后会生成一只acpimof.dll，在BIOS里面将device.asl包进去然后再注册表中加入acpimof.dll的信息然后重启。讲到这里还要提到一个验证wmi的好工具叫做WMICodeCreator.exe微软的网站上有下载，下面我们就使用该tool验证前面的说法，下图2演示了我们定制wmiacpi之后的状况：8 V9 ]( Q: I* t @/ B
. i/ x. M( ]* Y, X0 x
\5 x$ K. I& n/ y& t( K" {
Z# R% t2 a2 z* Q: ^* U5 Y图 2 " x% f9 b4 m* C" y' g
图2红色方框标注的AcpiTest_**就是我们定制的WMI class。也就是OS Load wmiacpi.sys之后将其MOF档案解析出来并加入到WMI repository于是我们就看到了上图的信息。下面我们来跟踪一下访问具体的class的情况吧，祭出WinDbg，let’s go！首先查看一下wmiacpi.sys这支driver有没有被加载下图3表明该driver被正常加载了。5 X! o/ Z- t1 `3 Z, n
& c8 A" b' x9 g! O3 t# \6 C7 I* r
8 M5 Z6 x5 `. i. a3 N
图3 / V7 k* m/ B, u) W
由图3显示与wmi相关的有两个driver:wmilib.sys和wmiacpi.sys,wmilib.sys是干嘛的呢？别急后续讲述wmi driver的文章会详细介绍它。既然被加载了那我们就要dump wmiacpi.sys的symbol看看有哪些有用的信息，这样我们才比较容易下手J。下图4显示了wmiacpi.sys的所有symbol。' ?7 F \( y; l$ l) O1 h
- o( ?2 m+ u' F% j) k7 {3 f
6 n Y( B7 ^, e图4
' }' X2 f2 X0 k$ g前面我们还讲到wmiacpi.sys最终会调用到acpi.sys访问asl code那我们再看一看acpi.sys有哪些symbol，下图5显示了acpi.sys的所有symbol：
1 ~& w. r, }8 h- {$ t+ w
0 t* I/ F# v# }: O2 D& A
6 a9 o" q/ i' ], L图5 * c6 h. ?% s$ j+ |3 x
经过分析上述symbol我觉得下述函数很有作案嫌疑，所以将它们秘密监控J都给设上断点，被怀疑的对象如下图6所示：1 h$ P$ }8 d: A& ~7 f
! B8 L' Y9 m2 I ]
+ O! U9 ]$ L. l: n* p% ~图6
. `! T1 s1 U5 A/ x \0 y( E: ~' Y如图所示：3 _; w5 [ [7 R5 c) K' E4 t
6 r3 {8 R4 J# |% }wmiacpi!WmiAcpiSetWmiDataItem/ W+ g+ ?' |$ p" W( D3 R
! N$ |6 N0 _" F+ c3 V# L
wmiacpi!WmiAcpiSetWmiDataBlock
' D- o( g- R5 _- e% D6 _" E7 f* O' U$ p/ A) E3 H& W* O/ R/ j
wmiacpi!WmiFireEvent
" d) g: e* J8 n4 ~7 O# s0 S* N. {1 h# f* c# H6 {
wmiacpi!WmiAcpiQueryWmiDataBlock
1 Z6 e; s( T+ l/ Y* [
8 | k) I( U! o9 C" F V$ k. rwmiacpi!WmiAcpiSendAsyncDownStreamIrp
+ s3 H2 t) R! @+ K, P: V
9 j3 Q/ Z5 N, Ywmiacpi!WmiSystemControl
- T8 U# R/ r7 @
/ u! g: G1 ~$ l: dwmiacpi!WmiAcpiSystemControlDispatch' y: i+ u8 g/ A) m# f- N& d
5 V6 z# T* t# p" vacpi!ACPIIoctlEvalControlMethod
- m6 l3 \& F: a' x6 e0 `4 @' o6 {4 ^
acpi!ACPIIoctlAsyncEvalControlMethod
B5 Y) ~) o1 z: k/ [* i! I3 d9 u! J5 |: J
acpi!ACPIIoctlAsyncEvalControlMethodEx" j7 v. Z+ g, W
5 A: \( L# `9 x/ c2 ~acpi!ACPIIoctlEvalControlMethodEx5 l# n) M- ?* p& @& y$ b! T4 a
& b$ p$ c" s; ?% Y' [) x+ jacpi!ACPIButtonDeviceControl
+ [+ A6 ^5 G1 {" N: v! s8 Y% ?
: B: y, `# D0 `0 x$ ]acpi!ACPIEcInternalControl3 W/ S) y! G" F s& U) D$ B+ i
4 e& V# D' }" [% G
acpi!AcpiEmbeddedControllerIrpDispatch' [, \1 o9 B0 r( o( N
/ a- {, {6 x& Gacpi!ACPIIrpDispatchDeviceControl
4 ]4 Y2 G$ c- a# u1 L$ {1 t4 u4 r; @, g
acpi!WmiSystemControl7 l+ z' S/ T, E0 _
( X( H8 H9 o; R9 E* Q) G! s+ _这些函数都被设置的断点，下面就我们读写一个class试试看了，图7证实了我之前的所说绝非空口无凭，我们读AcpiTest_MPackage class时发现先会call wmiacpi!WmiAcpiQueryWmiDataBlock,然后acpi!ACPIIrpDispatch DeviceControl会接手，当然后续还会有别的一些动作，但是上述行为就足以支撑我的论点了J。" c# Z- ?0 s4 z1 z2 o) j# J; y9 l! A
2 u. U( e0 d5 m# m: k' i
) i& M6 I& k( |0 a5 L s
% R: T( i( ~' z% s
6 o! M# [+ v# b) R7 O- P* V4 F图73 J* V5 H p# u4 k6 K9 U/ V
图8演示了我们发一个event的状况，图中显示acpi.sys会接到该event然后透过wmiacpi!WmiFireEvent送给上层AP,上层AP再透过IRP下来qurey其它相关的具体信息。
3 x1 Y, Z, Z4 ~. T5 [8 E L! s9 i7 ~8 c# ~# w
; ?( v3 n% V, b* X& s( M j
$ _" }+ d x9 K: V. l0 F w图8 3 `- j0 ?+ `$ H% j' ]1 B& V% }
以上就是我费尽九牛二虎之力挖掘的wmiacpi.sys的秘密了，再附上一幅我的debug环境J。
% A, d1 C/ Y1 P" F1 E9 N
5 r ?6 H! {: h# m$ \
, E4 Q, W% v# \5 o* p+ g( P
C* t( ~2 p, H: A9 \图9 8 b' u0 y( I+ [7 a
That’s all!) d6 M1 ]8 S9 j. T! s* n9 h
Peter
. |, Y4 g* ]- W7 y0 ^. b! p
- N9 n$ I% F/ E; ~* M[ 本帖最后由 peterhu 于 2009-5-25 09:31 编辑 ] |
|
IP卡
狗仔卡
发表于 2009-5-22 17:14:23
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
显身卡
发表于 2009-5-22 20:27:37
今天我再试试也许就出来了